Des failles SSH non corrigées dans Tailscale permettent à un appareil compromis de propager des droits root sur tout le réseau

Une chercheuse en sécurité a divulgué 11 vulnérabilités dans Tailscale SSH qui pourraient permettre à un seul appareil compromis d'obtenir les droits root sur tous les autres serveurs qu'il peut atteindre dans un réseau d'entreprise. Les résultats, publiés le 25 octobre par Erica Windisch de Cyberdione Labs dans un rapport baptisé Tailworm, concernent toute organisation utilisant Tailscale SSH avec le port forwarding activé.

Tailscale est un outil VPN superposé largement déployé qui crée des réseaux privés appelés «tailnets» reliant des appareils entre fournisseurs cloud, centres de données et postes de travail distants. Sa fonctionnalité SSH intégrée est conçue pour remplacer la gestion traditionnelle des clés SSH.

Ce que permettent les failles

Le rapport démontre trois vecteurs d'attaque principaux : accès aux sockets système réservés à root, remplacement des sockets appartenant à root, et capture d'une clé d'enregistrement d'appareil via une condition de course. Sur les réseaux sans Tailnet Lock, ce troisième vecteur permet à l'attaquant d'ajouter discrètement une nouvelle machine au réseau comme serveur de confiance.

Une vulnérabilité supplémentaire concerne la fonctionnalité expérimentale app-connector, qui peut atteindre des destinations non approuvées, y compris les services de métadonnées cloud — les mêmes endpoints exploités dans de grandes attaques de vol de credentials cloud.

Exposition accrue pour les utilisateurs de Headscale

Les organisations exécutant Headscale 0.29.5 — l'alternative open source au serveur de coordination de Tailscale — se trouvent dans une position particulièrement exposée. Contrairement au service hébergé, Headscale n'offre pas d'option par règle pour désactiver le port forwarding SSH. Windisch indique que pour les déploiements Headscale, chaque accès SSH accordé doit actuellement être considéré comme équivalent à un accès root effectif sur la machine cible.

Pas de correctif, pas de CVE

À la date de publication, Tailscale n'a émis aucun correctif, CVE ni bulletin de sécurité. Le VP Engineering de la société a confirmé avoir reçu le rapport de Windisch et indiqué que Tailscale examinait déjà ces domaines.

Mesures d'atténuation en attendant un correctif

Windisch recommande plusieurs mesures immédiates : rédiger les règles d'accès SSH sous forme de paires appareil unique vers cible unique ; désactiver le port forwarding SSH là où c'est possible ; supprimer les permissions app-connector des appareils qui n'en ont pas besoin ; et activer l'expiration des clés de nœud. Si un appareil est suspecté d'être compromis, la bonne réaction est de le supprimer au niveau du plan de contrôle — pas seulement de le réinitialiser, car les clés copiées resteraient valides.

Recherche d'Erica Windisch de Cyberdione Labs, rapportée en premier par The Hacker News.